声明 Copyright 2014 普联技术有限公司版权所有, 保留所有权利未经普联技术有限公司明确书面许可, 任何单位或个人不得擅自仿制 复制 誊抄或转译本书部分或全部内容 不得以任何形式或任何方式 ( 电子 机械 影印 录制或其他可能的方式 ) 进行商品传播或用于任何商业 赢利目的 自的所有人拥

Transcription

1 全千兆二层网管交换机 TL-SG3210/ TL-SG3216/ TL-SG3424/ TL-SG3424P 命令行手册 REV

2 声明 Copyright 2014 普联技术有限公司版权所有, 保留所有权利未经普联技术有限公司明确书面许可, 任何单位或个人不得擅自仿制 复制 誊抄或转译本书部分或全部内容 不得以任何形式或任何方式 ( 电子 机械 影印 录制或其他可能的方式 ) 进行商品传播或用于任何商业 赢利目的 自的所有人拥有 为普联技术有限公司注册商标 本文档提及的其他所有商标或注册商标, 由各 本手册所提到的产品规格和资讯仅供参考, 如有内容更新, 恕不另行通知 除非有特殊约定, 本手册仅作为使用指导, 本手册中的所有陈述 信息等均不构成任何形式的担保

3 目录 手册概述... 1 第 1 章命令行使用指导 使用命令行 命令行 命令行安全等级 命令行格式约定 第 2 章用户界面 enable enable password disable configure exit end history history clear 第 3 章 IEEE 802.1Q VLAN 配置命令 vlan interface vlan name switchport mode switchport access vlan switchport trunk allowed vlan switchport general allowed vlan switchport pvid show vlan summary show vlan brief show vlan 第 4 章 MAC VLAN 配置命令 mac-vlan mac-address show mac-vlan 第 5 章协议 VLAN 配置命令 protocol-vlan template protocol-vlan vlan protocol-vlan group show protocol-vlan template show protocol-vlan vlan 第 6 章语音 VLAN 配置命令 voice vlan voice vlan aging time voice vlan priority voice vlan mac-address I

4 6.5 switchport voice vlan mode switchport voice vlan security show voice vlan show voice vlan oui show voice vlan switchport 第 7 章 GVRP 配置命令 gvrp gvrp (interface) gvrp registration gvrp timer show gvrp global show gvrp interface 第 8 章 EtherChannel 配置命令 channel-group port-channel load-balance lacp system-priority lacp port-priority show etherchannel show etherchannel load-balance show lacp show lacp sys-id 第 9 章用户管理配置命令 user user access-control ip-based user access-control mac-based user access-control port-based user max-number user idle-timeout line password login login local show user account-list show user configuration 第 10 章绑定列表配置命令 ip source binding ip dhcp snooping ip dhcp snooping global ip dhcp snooping information option ip dhcp snooping information strategy ip dhcp snooping information remote-id ip dhcp snooping information circuit-id ip dhcp snooping trust ip dhcp snooping mac-verify ip dhcp snooping limit rate ip dhcp snooping decline show ip source binding show ip dhcp snooping II

5 10.14 show ip dhcp snooping information show ip dhcp snooping interface 第 11 章 ARP 防护配置命令 ip arp inspection(global) ip arp inspection trust ip arp inspection (interface) ip arp inspection limit-rate ip arp inspection recover show ip arp inspection show ip arp inspection interface show ip arp inspection statistics clear ip arp inspection statistics 第 12 章 DoS 防护命令 ip dos-prevent ip dos-prevent type show ip dos-prevent 第 13 章 IEEE 802.1X 配置命令 dot1x system-auth-control dot1x auth-method dot1x guest-vlan(global) dot1x quiet-period dot1x timeout dot1x max-reauth-req dot1x dot1x guest-vlan(interface) dot1x port-control dot1x port-method radius radius server-account show dot1x global show dot1x interface show radius accounting show radius authentication 第 14 章系统日志配置命令 logging buffer logging file flash clear logging logging host index show logging local-config show logging loghost show logging buffer show logging flash 第 15 章 SSH 配置命令 ip ssh server ip ssh version ip ssh timeout ip ssh max-client III

6 15.5 ip ssh download show ip ssh 第 16 章 SSL 配置命令 ip http secure-server ip http secure-server download certificate ip http secure-server download key show ip http secure-server 第 17 章地址配置命令 mac address-table static mac address-table aging-time mac address-table filtering mac address-table max-mac-count show mac address-table address show mac address-table aging-time show mac address-table max-mac-count interface gigabitethernet show mac address-table interface gigabitethernet show mac address-table mac-num show mac address-table mac show mac address-table vlan 第 18 章系统配置命令 system-time manual system-time ntp system-time dst predefined system-time dst date system-time dst recurring hostname location contact-info ip management-vlan ip address ip address-alloc dhcp ip address-alloc bootp reset reboot copy running-config startup-config copy startup-config tftp copy tftp startup-config firmware upgrade ping tracert loopback interface show system-time show system-time dst show system-time ntp show system-info show running-config show cable-diagnostics interface 第 19 章以太网配置命令 IV

7 19.1 interface gigabitethernet interface range gigabitethernet description shutdown flow-control media-type duplex speed storm-control broadcast storm-control multicast storm-control unicast bandwidth clear counters show interface status show interface counters show interface description show interface flowcontrol show interface configuration show storm-control show bandwidth 第 20 章 QoS 配置命令 qos qos dscp qos queue cos-map qos queue dscp-map qos queue mode show qos interface show qos cos-map show qos dscp-map show qos queue mode show qos status 第 21 章端口监控配置命令 monitor session destination interface monitor session source interface show monitor session 第 22 章端口隔离配置命令 port isolation show port isolation 第 23 章环路监测配置命令 loopback-detection(global) loopback-detection interval loopback-detection recovery-time loopback-detection(interface) loopback-detection config loopback-detection recover show loopback-detection global show loopback-detection interface 第 24 章 PoE 配置命令 V

8 24.1 power inline consumption (global) power inline supply power inline priority power inline consumption (interface) power time-range holiday absolute periodic power holiday power inline time-range power profile power inline profile show power inline show power inline configuration interface show power inline information interface show power time-range show power holiday show power profile 第 25 章 ACL 配置命令 time-range absolute periodic holiday holiday(global) access-list create mac access-list access-list standard access-list extended rule access-list policy name access-list policy action redirect interface s-condition s-mirror qos-remark access-list bind(interface) access-list bind(vlan) show time-range show holiday show access-list show access-list policy show access-list bind 第 26 章 MSTP 配置命令 spanning-tree(global) spanning-tree(interface) spanning-tree common-config spanning-tree mode spanning-tree mst configuration instance name VI

9 26.8 revision spanning-tree mst instance spanning-tree mst spanning-tree priority spanning-tree tc-defend spanning-tree timer spanning-tree hold-count spanning-tree max-hops spanning-tree bpdufilter spanning-tree bpduguard spanning-tree guard loop spanning-tree guard root spanning-tree guard tc spanning-tree mcheck show spanning-tree active show spanning-tree bridge show spanning-tree interface show spanning-tree interface-security show spanning-tree mst 第 27 章 IGMP 配置命令 ip igmp snooping(global) ip igmp snooping(interface) ip igmp snooping immediate-leave ip igmp snooping drop-unknown ip igmp snooping vlan-config ip igmp snooping multi-vlan-config ip igmp snooping filter(global) ip igmp snooping filter(interface) ip igmp snooping filter add-id ip igmp snooping filter mode ip igmp snooping filter maxgroup show ip igmp snooping show ip igmp snooping interface show ip igmp snooping vlan show ip igmp snooping multi-vlan show ip igmp snooping groups show ip igmp snooping filter 第 28 章 SNMP 配置命令 snmp-server snmp-server view snmp-server group snmp-server user snmp-server community snmp-server host snmp-server engineid snmp-server traps snmp snmp-server traps link-status snmp-server traps snmp-server traps mac snmp-server traps vlan VII

10 28.13 rmon history rmon event rmon alarm show snmp-server show snmp-server view show snmp-server group show snmp-server user show snmp-server community show snmp-server host show snmp-server engineid show rmon history show rmon event show rmon alarm 第 29 章 LLDP 配置命令 lldp lldp hold-multiplier lldp timer lldp med-fast-count lldp receive lldp transmit lldp snmp-trap lldp tlv-select lldp med-status lldp med-tlv-select lldp med-location show lldp show lldp interface show lldp local-information interface show lldp neighbor-information interface show lldp traffic interface 第 30 章集群配置命令 cluster ndp cluster ntdp cluster explore cluster cluster candidate cluster individual show cluster ndp show cluster ntdp show cluster neighbour show cluster manage role VIII

11 手册概述 本手册提供 CLI(Command Line Interface, 命令行界面 ) 参考信息, 适用于 TP-LINK TL-SG3210/ TL-SG3216/ TL-SG3424/ TL-SG3424P 全千兆二层网管交换机 由于这三个机型的配置方法相似, 本手册将以 TL-SG3210 为例进行介绍 各章节内容安排如下 : 第 1 章 : 命令行使用指导主要介绍 CLI 的使用方法 命令行 使用命令行 命令行分级及命令行格式约定 第 2 章 : 用户界面主要介绍用户登录和退出操作的相关配置命令 第 3 章 :IEEE 802.1Q VLAN 配置命令主要介绍 IEEE 802.1Q VLAN 的相关配置命令 第 4 章 :MAC VLAN 配置命令主要介绍 MAC-Based VLAN 的相关配置命令 第 5 章 : 协议 VLAN 配置命令主要介绍协议 VLAN 的相关配置命令 第 6 章 : 语音 VLAN 的配置命令主要介绍语音 VLAN 的相关配置命令 第 7 章 :GVRP 配置命令主要介绍 GVRP 的相关配置命令 第 8 章 :Etherchannel 配置命令主要介绍端口汇聚和 LACP 的相关配置命令 第 9 章 : 用户管理配置命令主要介绍用户管理信息的相关配置命令 第 10 章 : 绑定列表配置命令主要介绍 IP-MAC-VID-PORT 四元绑定表的相关配置命令 第 11 章 :ARP 防护配置命令主要介绍防 ARP 欺骗 防 ARP 攻击 报文统计的相关配置命令 第 12 章 :DoS 防护命令主要介绍 DoS 防护和攻击检测的相关配置命令 第 13 章 :IEEE 802.1X 配置命令主要介绍 IEEE 802.1X 认证的相关配置命令 1

12 第 14 章 : 系统日志配置命令主要介绍系统日志的查看 输出, 日志服务器的相关配置命令 第 15 章 :SSH 配置命令主要介绍 SSH 配置管理的相关命令 第 16 章 :SSL 配置命令主要介绍 SSL 配置管理的相关命令 第 17 章 : 地址配置命令主要介绍端口安全设置和地址表管理的相关配置命令 第 18 章 : 系统配置命令主要介绍系统信息 网络配置, 系统软件复位, 系统文件升级, 交换机重启及连通性测试等系统相关配置命令 第 19 章 : 以太网配置命令主要介绍以太网端口的流量控制 协商 风暴抑制 带宽限制的相关配置命令 第 20 章 :QoS 配置命令主要介绍 QoS( 服务质量 ) 的相关配置命令 第 21 章 : 端口监控配置命令主要介绍端口监控的相关配置命令 第 22 章 : 端口隔离配置命令主要介绍端口隔离的相关配置命令 第 23 章 : 环路监测配置命令主要介绍环路监测的相关配置命令 第 24 章 :PoE 配置命令主要介绍 PoE( 以太网供电 ) 的相关配置命令 第 25 章 :ACL 配置命令主要介绍访问控制的相关配置命令 第 26 章 :MSTP 配置命令主要介绍生成树配置的相关配置命令 第 27 章 :IGMP 配置命令主要介绍 IGMP 侦听 组播地址表管理 组播过滤等组播管理相关配置命令 第 28 章 :SNMP 配置命令主要介绍 SNMP( 简单网络管理协议 ) 配置 通知管理 RMON( 远程网络监视 ) 等 SNMP 相关配置命令 2

13 第 29 章 :LLDP 配置命令主要介绍 LLDP( 链路层发现协议 ) 以及 LLDP-MED 的相关配置命令 第 30 章 : 集群配置命令主要介绍拓扑发现 拓扑收集 集群管理的相关配置命令 3

14 第 1 章命令行使用指导 1.1 使用命令行 用户可以通过两种方式登录交换机来使用命令行 : 1. 通过 Console 口进行本地登录 ; 2. 通过以太网端口利用 Telnet 或 SSH 进行本地或远程登录 通过 Console 口进行本地登录 1. 首先, 将计算机 ( 或终端 ) 的串口通过配置电缆与以太网交换机的 Console 口连接 2. 选择开始 所有程序 附件 通讯 超级终端, 打开超级终端 图 1-1 打开超级终端 4

15 3. 弹出如图 1-2 所示的连接描述窗口, 在名称处键入一个名称, 点击确定 4. 在图 1-3 中选择连接串口, 点击确定 图 1-2 连接描述 图 1-3 连接端口选择 5. 在图 1-4 中对端口进行设置 : 每秒位数 38400, 数据位 8, 奇偶校验 无, 停止位 1, 数据流控制 无, 然后点击确定 5

16 图 1-4 端口属性设置 6. 在超级终端主窗口中输入回车键, 可以看到 TL-SG3210> 的提示符, 说明已成功登录交换机 如图 1-5 所示 配置特权密码 图 1-5 登录交换机 在首次使用 Telnet 或 SSH 进行远程登录之前, 需要先用串口线连接主机及交换机的 Console 口, 在超级终端上配置进入特权的密码 按照 通过 Console 口进行本地登录所述步骤登录交换机, 再按照下图所示设置进入交换机特权的密码 6

17 图 1-6 设置特权密码 通过 Telnet 进行登录 在首次使用 Telnet 进行登录之前, 设置好进入特权的密码后, 您还需要在超级终端上配置 Telnet 登录和登录认证信息 Telnet 登录有两种 :Login local 和 Login 请根据需要自行选择其中一种进行登录 Login local : 需要登录输入用户名和密码, 默认值均为 admin Login : 无需登录用户名和密码, 但是需要输入一个连接密码才能建立 Telnet 连接进行访问 Login Local 如图 1-7 所示, 首先在超级终端中上配置 Telnet 登录为 login local 图 1-7 设置 login local 然后便可在 login local 下进行 Telnet 登录了 : 1. 请先确保本交换机与计算机在同一局域网内 选择开始 运行, 打开运行窗口 7

18 图 1-8 打开运行窗口 2. 弹出如图 1-9 所示的运行窗口, 输入 telnet , 点击确定按钮进入 DOS 界面 图 1-9 运行窗口 8

19 3. 输入登录的用户名和密码 ( 默认值均为 admin ), 回车即可进入用户, 如图 1-10 图 1-10 进入用户此时便可在 Telnet 连接中使用 CLI 命令管理交换机了 4. 可以输入 enable 命令进入特权 系统会提示输入密码, 这里输入我们在超级终端中设置的密码 123 图 1-11 进入用户 Login 如图 1-12 所示, 首先在超级终端上将 Telnet 登录配置为 login, 并将连接密码设置为 456 9

20 此时便可在 login 下进行 Telnet 登录了 : 图 1-12 配置 login 1. 在运行窗口中输入 telnet , 按下回车键 图 1-13 连接交换机 2. 输入在超级终端中设置的连接密码 456 进入用户 图 1-14 进入用户 3. 可以输入 enable 命令进入特权, 系统会提示输入密码, 这里输入我们在超级终端中设置的 密码

21 图 1-15 进入特权 通过 SSH 进行登录 推荐使用第三方客户端软件 PuTTY 来建立 SSH 连接 在首次使用 SSH 进行登录之前请先设置好进入特权的密码 SSH 登录有两种认证 : 密码认证 : 需要登录输入用户名和密码, 默认值均为 admin 密钥认证 : 无需登录用户名和密码, 但是需要先通过 Putty 密钥生成器生成一对公钥和私钥, 将公钥导入交换机, 私钥导入客户端软件进行认证 进行 SSH 登录之前, 请按照下图所示步骤在超级终端中开启交换机的 SSH 功能 密码认证 1. 打开软件, 登录 PuTTY 的主界面 在 Host Name 处填写交换机的 IP 地址 ; Port 保持默认的 22; Connection type 处选择 SSH 的接入方式 如下图所示 11

22 2. 点击 <Open> 按键, 即可登录到交换机 操作方法与 telnet 相同, 输入登录用户名和登录密码, 即可继续进行配置操作 如下图所示 密钥认证 1. 选择密钥类型和密钥长度, 并生成 SSH 密钥 如下图所示 12

23 注意 : 密钥长度的范围为 256 至 3072 比特 生成密钥的过程中, 在软件的空白处快速的随意晃动鼠标, 产生随机数据, 可以加快密钥生成的速度 2. 密钥生成后, 将公钥和私钥文件保存在一个 TFTP 服务器中 如下图所示 13

24 3. 在超级终端上, 将保存至 TFTP 服务器上的公钥文件导入交换机中 注意 : 密钥类型要与密钥文件的类型保持一致 载入 SSH 密钥的过程不能被中断 4. 导入公钥文件后, 打开 PuTTY 的主界面, 输入 IP 地址 14

25 5. 将私钥文件导入至 SSH 客户端软件中 如下图所示 6. 协商成功后, 输入用户名进行登录, 如果你不需要输入密码即可登陆成功, 表明密钥认证已经成功 如下图所示 1.2 命令行 CLI 按功能划分为五种, 即 : 用户 特权 全局配置 接口配置和 VLAN 配 置, 其中接口配置又分为以太网端口配置和汇聚端口配置等, 如下图 : 15

26 用户 特权 密码验证 全局配置 接口配置 Interface gigabitethernet Interface link-aggregation Interface range gigabitethernet Interface range link-aggregation Interface vlan VLAN 配置 下表列出了各的访问方法 提示符以及如何离开各 : 访问方法提示符离开或访问下一 输入 exit 命令断开与 用户 与交换机建立连接即进入该 TL-SG3210> 交换机连接 (Console 口接入时无法断开 ); 输入 enable 命令, 进 入特权 输入 disable 命令或 特权 在用户下, 使用 enable 命令进入该 TL-SG3210# exit 命令, 返回用户 ; 输入 configure 命 令, 进入全局配置模 式 输入 exit 命令或 end 命令, 或者键入 Ctrl+Z 全局配置 在特权下, 使用 configure 命令进入该 TL-SG3210(config)# 组合键, 返回特权 ; 输入 interface type number 命令, 进入接 口配置 ; 输入 vlan 命令, 进入 VLAN 配置 输入 end 命令, 或键 在全局配置下键入 入 Ctrl+Z 组合键, 返回 接口配置 interface gigabitethernet port 或 interface range gigabitethernet por-list 进入该 TL-SG3210(config-if)# 或 TL-SG3210(config-if-range)# 特权 ; 输入 exit 命令, 返回全局配置 ; 在 interface 命令中必须指明要进入哪一 个接口配置子 16

27 VLAN 配置 在全局配置下, 使用 vlan vlan-list 命令进入该 TL-SG3210(config-vlan)# 输入 end 命令, 或键入 Ctrl+Z 组合键返回特权 ; 输入 exit 命令, 返回 全局配置 说明 : 1. 通过 Console 口或 Telnet 方式与交换机建立连接后即进入用户 2. 各个都有各自的命令, 要进行相应的命令配置必须要先进入对应的 : 全局配置 : 提供全局配置的命令, 如 : 生成树, 队列调度等 ; 接口配置 : 分为多个接口, 每个接口都有各自相应的命令 : a) interface gigabitethernet: 配置一个以太网端口的, 如双工, 流控状态等 b) interface range gigabitethernet: 包含的命令跟 interface gigabitethernet 基本一样, 配置多个以太网端口的 c) interface link-aggregation: 配置汇聚端口的, 广播风暴等 d) interface range link-aggregation: 配置多个汇聚端口的 e) interface vlan: 配置 VLAN 接口 VLAN 配置 : 创建 VLAN, 增加端口到指定 VLAN 3. 有一些命令是全局的, 在所有命令下都可执行 : show: 显示交换机各种信息, 如 : 统计信息 端口信息 VLAN 信息等 history: 显示历史命令 1.3 命令行安全等级 交换机主要分两个安全等级 : 参观级和管理级 参观级只能在用户下进行简单的查询操作 ; 管理级能在特权 全局配置 接口配置 VLAN 配置下对交换机进行监控 配置 管理等操作 通过 Telnet SSH 或 Console 方式登录时, 输入正确的用户名和密码后将进入用户, 即获得参观级权限 不过当用户类型为受限用户时, 则不允许登录访问命令行 在用户下, 可通过输入命令 enable 来进入特权 在通过 Console 口进行本地连接时, 使用 enable 命令进入特权时缺省情况下无密码, 可以在全局配置下通过 enable password 命令设置管理级密码 无密码情况下键入 enable 命令直接进入特权, 有密码情况下输入管理级密码才能进入特权 进入特权即获得管理级权限 17

28 1.4 命令行格式约定 基本格式约定 本文档中对 CLI 命令的叙述遵循以下约定 : 在中括号 [ ] 中的任何都是可选的 在大括号 { } 中的任何都是必需的 如果有多个选项, 则使用竖线 分隔每个选项 例如 :speed { } 关键词 ( 命令中保持不变, 必须照输的部分 ) 以粗体形式出现 例如 :show logging 常量 ( 枚举量, 只能选择其一 ) 以普通字体形式出现 例如 :switchport type { access trunk general } 变量 ( 命令中必须以实际值进行替代的部分 ) 以斜体形式出现 例如 :bridge aging-time aging-time 特殊字符 若变量为字符串形式, 输入时请注意 : < >, \ & 这六个字符是不允许输入的 若字符串中包含空格, 则字符串首尾需添加单引号 或双引号, 如 hello world hello world 此时单 / 双引号中的两个 ( 或多个 ) 单词会作为一个字符串输入 ; 如果不加单 / 双引号, 它们会被解析成两个 ( 或多个 ) 字符串 格式 变量中有些是有特定的输入格式的 : MAC 地址必须以 XX:XX:XX:XX:XX:XX 的格式输入 端口编号格式为 : 设备编号 / 插槽位 / 端口序号 对于 TL-SG3210/ TL-SG3216/ TL-SG3424/ TL-SG3424P 交换机, 设备编号为 1, 插槽位取值为 0, 而端口序号为设备上该端口的编号, 具体请查看设备前面板 例如 : 端口编号 1/0/3 表示设备上编号为 3 的端口 18

29 输入一组端口号 (port-list) 或一组 VLAN ID(vlan-list) 时, 可以输入一个或多个值, 每个值之间用 逗号隔开, 连续的一组值可以用连接符 - 表示 例如 :1/0/1,1/0/3-5,1/0/7 表示端口 1/0/1,1/0/3,1/0/4,1/0/5,1/0/7 19

30 第 2 章用户界面 2.1 enable 该命令用于从用户进入特权 命令 enable 用户设置了从用户进入特权的密码时 : TL-SG3210>enable Enter password TL-SG3210# 2.2 enable password 该命令用于设置从用户切换到特权的管理级密码, 它的 no 命令用于清空密码 命令 enable password password no enable password password 管理级密码, 由 1~16 个字符 ( 只能为数字 字母和下划线 ) 组成, 默 认为空 全局配置 将用户切换到特权时的管理级密码设置为 admin: TL-SG3210(config)# enable password admin 2.3 disable 该命令用于从特权返回到用户 20

31 命令 disable 特权 从特权返回到用户 : TL-SG3210# disable TL-SG3210> 2.4 configure 该命令用于从特权进入全局配置 命令 configure 特权从特权进入全局配置 : TL-SG3210# configure TL-SG3210(config)# 2.5 exit 该命令用于退出当前配置返回上一层配置 命令 exit 所有配置从接口配置返回到全局, 再返回到特权 : TL-SG3210 (config-if)# exit TL-SG3210 (config)#exit TL-SG3210# 21

32 2.6 end 该命令用于返回特权 命令 end 所有配置从接口配置直接返回到特权 : TL-SG3210(config-if)#end TL-SG3210# 2.7 history 该命令用于显示系统启动后用户在当前下最近输入的 20 条命令 命令 history 特权以及所有配置显示用户之前在当前下输入的命令 : TL-SG3210(config)#history 1 history 2.8 history clear 该命令用于清空系统启动后在当前下输入过的命令, 下一次使用 history 命令时将不会显示这些被清空的命令 命令 History clear 特权以及所有配置 22

33 清空系统启动后在当前下输入过的命令 : TL-SG3210(config)#history clear 23

34 第 3 章 IEEE 802.1Q VLAN 配置命令 VLAN(Virtual Local Area Network, 虚拟局域网 ) 是一种在一个物理网络上划分多个逻辑网络的技 术, 具有控制广播域范围, 增强网络安全性, 可以灵活创建虚拟工作组等优点 3.1 vlan 该命令用于进入 VLAN 配置并创建 IEEE 802.1Q VLAN, 它的 no 命令用于删除 IEEE 802.1Q VLAN 命令 vlan vlan-list no vlan vlan-list vlan-list VLAN ID List, 取值范围 2~4094 可是是其中的任意一个值或者一个 数值段 全局配置 创建 VLAN 2-10 以及 VLAN 100: TL-SG3210(config)# vlan 2-10,100 删除 VLAN 2: TL-SG3210(config)# no vlan interface vlan 该命令用于创建 VLAN 接口并进入 VLAN 接口 它的 no 命令用于删除 VLAN 接口 命令 interface vlan vlan-id no interface vlan vlan-id vlan-id VLAN ID, 取值范围 全局配置 24

35 创建 VLAN 接口 2: TL-SG3210(config)# interface vlan name 该命令用于配置 IEEE 802.1Q VLAN 描述字符, 它的 no 命令用于清空描述字符 命令 name descript no name descript VLAN 描述字符, 长度为 1-16 个字符 VLAN 配置 (vlan) 将 vid=2 的 VLAN 描述成 VLAN002 : TL-SG3210(config)# vlan 2 TL-SG3210(config-if)# name VLAN switchport mode 该命令用于配置以太网端口的链路类型 命令 switchport mode { access trunk general } access trunk general 以太网端口链路类型, 共支持三种类型 接口配置 (interface gigabitethernet / interface range gigabitethernet) 配置以太网端口 3 的链路类型为 general: TL-SG3210(config)# interface gigabitethernet 1/0/3 TL-SG3210(config-if)#switchport mode general 25

36 3.5 switchport access vlan 该命令用于把 access 类型的端口添加到 IEEE 802.1Q VLAN, 它的 no 命令用于把端口从 IEEE 802.1Q VLAN 中移除 命令 switchport access vlan vlan-id no switchport access vlan vlan-id VLAN ID, 取值范围 接口配置 (interface gigabitethernet / interface range gigabitethernet) 配置以太网端口 3 链路类型为 access 并将其添加到 VLAN2 中 : TL-SG3210(config)# interface gigabitethernet 1/0/3 TL-SG3210(config-if)# switchport mode access TL-SG3210(config-if)# switchport access vlan switchport trunk allowed vlan 该命令用于把 trunk 类型的端口添加到 IEEE 802.1Q VLAN, 它的 no 命令用于端口从 IEEE 802.1Q VLAN 中移除 命令 switchport trunk allowed vlan vlan-list no switchport trunk allowed vlan vlan-list vlan-list 指定 IEEE 802.1Q VLAN ID, 取值范围 , 可多选, 格式为 :2-3, 5 接口配置 (interface gigabitethernet / interface range gigabitethernet) 配置以太网端口 2 链路类型为 trunk 并将其添加到 VLAN2 中 : TL-SG3210(config)# interface gigabitethernet 1/0/2 TL-SG3210(config-if)# switchport mode trunk TL-SG3210(config-if)# switchport trunk allowed vlan 2 26

37 3.7 switchport general allowed vlan 该命令用于把 general 类型的端口添加到 IEEE 802.1Q VLAN, 并配置端口的出口规则 它的 no 命令用于把端口从 IEEE 802.1Q VLAN 中移除 命令 switchport general allowed vlan vlan-list { tagged untagged } no switchport general allowed vlan vlan-list vlan-list 指定 IEEE 802.1Q VLAN ID, 取值范围 , 可多选, 格式为 :2-3, 5 tagged untagged 出口规则,tagged 或者 untagged 接口配置 (interface gigabitethernet / interface range gigabitethernet) 配置以太网端口 4 链路类型为 general, 将其添加到 VLAN2 中, 并指定出口规则为 tagged: TL-SG3210(config)# interface gigabitethernet 1/0/4 TL-SG3210(config-if)# switchport mode general TL-SG3210(config-if)# switchport general allowed vlan 2 tagged 3.8 switchport pvid 该命令用于设置交换机端口的 PVID 命令 switchport pvid vlan-id vlan-id VLAN ID, 取值范围 接口配置 (interface gigabitethernet / interface range gigabitethernet) 设置端口 3 的 PVID 为 1: TL-SG3210(config)# interface gigabitethernet 1/0/3 TL-SG3210(config-if)# switchport pvid 1 27

38 3.9 show vlan summary 该命令用于显示 IEEE 802.1Q VLAN 的统计信息 命令 show vlan summary 特权以及所有配置显示 IEEE 802.1Q VLAN 的统计信息 : TL-SG3210(config)# show vlan summary 3.10 show vlan brief 该命令用于显示 IEEE 802.1Q VLAN 的概要信息 命令 show vlan brief 特权以及所有配置显示 IEEE 802.1Q VLAN 的概要信息 : TL-SG3210(config)# show vlan brief 3.11 show vlan 该命令用于显示指定的 IEEE 802.1Q VLAN 的详细信息 命令 show vlan [ id vlan-list] vlan-list VLAN ID, 取值范围为 , 可多选, 格式为 :2-3, 5 该缺省时, 显示所有 IEEE 802.1Q VLAN 的信息 特权以及所有配置 28

39 显示所有 VLAN 的详细信息 : TL-SG3210(config)# show vlan 显示 vid=2 的 VLAN 的详细信息 : TL-SG3210(config)# show vlan id 2 显示 vid=3-10 的 VLAN 的详细信息 TL-SG3210(config)# show vlan id

40 第 4 章 MAC VLAN 配置命令 MAC VLAN 功能是按照 MAC 地址来来划分 VLAN 的一种方法 每个 MAC 地址对应一个 VLAN ID, 交换机给端口收到的无 tag 帧和优先级 tag 帧分配此 VLAN ID 4.1 mac-vlan mac-address 该命令用于创建 MAC VLAN 条目 它的 no 命令用于删除 MAC VLAN 条目 命令 mac-vlan mac-address mac-addr vlan vlan-id [description descript] no mac-vlan mac-address mac-addr mac-addr 源 MAC 地址, 格式为 XX:XX:XX:XX:XX:XX vlan-id 指定 IEEE Q VLAN ID, 取值范围 descript 对该 MAC VLAN 条目的描述, 长度为 0-8 个字符 该缺省时, 描述 字符为空 全局配置 创建 vid=2,mac 地址为 00:11:11:01:01:12 的 MAC-Based VLAN 条目, 命名为 RD: TL-SG3210(config)# mac-vlan mac-address 00:11:11:01:01:12 vlan 2 description RD 4.2 show mac-vlan 该命令用于显示 MAC VLAN 条目信息 可以显示根据 MAC 地址或 VLAN ID 过滤的信息 命令 show mac-vlan { all mac-address mac-addr vlan vlan-id } mac-addr 源 MAC 地址, 格式为 XX:XX:XX:XX:XX:XX vlan-id 指定 IEEE Q VLAN ID, 取值范围 特权和所有配置 30

41 显示所有 MAC VLAN 条目信息 : TL-SG3210(config)# show mac-vlan all 显示 MAC 地址为 00:11:11:01:01:12 的 MAC VLAN 条目信息 : TL-SG3210(config)# show mac-vlan mac-address 00:11:11:01:01:12 显示 VLAN ID 为 4 的 MAC VLAN 条目信息 : TL-SG3210(config)# show mac-vlan vlan 4 31

42 第 5 章协议 VLAN 配置命令 协议 VLAN 是按照协议来划分 VLAN 的一种方法 每个协议对应一个 VLAN ID, 交换机给端口收到 的无 tag 帧和优先级 tag 帧分配此 VLAN ID 5.1 protocol-vlan template 该命令用于创建 Protocol VLAN 协议模板 它的 no 命令用于删除 Protocol VLAN 协议模板 命令 protocol-vlan template name protocol-name ether-type type frame { 802_3 ether_2 snap llc } no protocol-vlan template template-idx protocol-name 协议名称, 由 1-8 个字符组成 type 以太网协议类型, 由 4 位十六进制数组成 802_3 ether_2 snap llc 数据帧类型,802_3, ether_2, snap 和 llc template-idx 协议模板序号 可用 show protocol-vlan template 命令获取各序号对应的模板 全局配置 创建一个协议类型为 0x2024, 数据帧类型为 Ethernet II 的 Protocol VLAN 协议模板, 并命名为 TP TL-SG3210(config)# protocol-vlan template name TP ether-type 2024 frame ether_2 5.2 protocol-vlan vlan 该命令用于创建 Protocol VLAN 条目, 它的 no 命令则用于删除 Protocol VLAN 条目 命令 protocol-vlan vlan vlan-id { template template-idx } no protocol-vlan vlan entry-id 32

43 vlan-id VLAN ID, 取值范围 template-idx 协议模板序号 可用 show protocol-vlan template 命令获取各序号 对应的模板 entry-id 协议 VLAN 序号 可用 show protocol-vlan vlan 命令获取各序号对应的协议 VLAN 条目 全局配置 创建 vid=2, 协议模板序号为 3 的 Protocol VLAN 条目 : TL-SG3210(config)# protocol-vlan vlan 2 template protocol-vlan group 该命令用于绑定指定的端口与协议 VLAN, 以组成一个协议 VLAN 组 它的 no 命令用于删除协议 VLAN 组 命令 protocol-vlan group group-id no protocol-vlan group group-id 接口配置 (interface gigabitethernet / interface range gigabitethernet) group-id 协议 VLAN 序号 可用 show protocol-vlan vlan 命令获取各序号对应的协议 VLAN 条目 将端口 3 与序号为 2 的协议 VLAN 绑定 : TL-SG3210(config)# interface gigabitethernet 1/0/3 TL-SG3210(config-if)# protocol-vlan group show protocol-vlan template 该命令用于显示 Protocol VLAN 协议模块配置信息 命令 show protocol-vlan template 33

44 特权和所有配置 显示 Protocol VLAN 协议模板配置信息 : TL-SG3210(config)# show protocol-vlan template 5.5 show protocol-vlan vlan 该命令用于显示 Protocol VLAN 条目信息 命令 show protocol-vlan vlan 特权和所有配置显示 Protocol VLAN 条目信息 : TL-SG3210(config)# show protocol-vlan vlan 34

45 第 6 章语音 VLAN 配置命令 语音 VLAN 是为语音数据流而专门划分的 VLAN 通过划分 Voice VLAN 并将连接语音设备的端口加 入 Voice VLAN, 可以为语音数据流配置 QoS, 提高语音数据流的传输优先级 保证通话质量 6.1 voice vlan 该命令用于开启 Voice VLAN 功能, 它的 no 命令用于禁用 Voice VLAN 功能 命令 voice vlan vlan-id no voice vlan vlan-id VLAN ID, 取值范围 全局配置开启 vid=10 的 Voice VLAN 功能 : TL-SG3210(config)# voice vlan voice vlan aging time 该命令用于配置 Voice VLAN 老化时间, 它的 no 命令用于恢复默认老化时间, 默认值为 1440 命令 voice vlan aging time time no voice vlan aging time time 老化时间, 取值范围 ( 分钟 ) 全局配置配置 Voice VLAN 老化时间为 2880 分钟 : TL-SG3210(config)# voice vlan aging time

46 6.3 voice vlan priority 该命令用于配置 Voice VLAN 优先级, 它的 no 命令用于恢复默认优先级, 默认值为 6 命令 voice vlan priority pri no voice vlan priority pri 优先级, 取值范围 0-7 全局配置将 Voice VLAN 优先级配置为 3: TL-SG3210(config)# voice vlan priority voice vlan mac-address 该命令用于创建或删除 Voice VLAN OUI 它的 no 命令用于删除指定的 Voice VLAN OUI 命令 voice vlan mac-address mac-addr mask mask [description descript] no voice vlan mac-address mac-addr mac-addr OUI 设备 MAC 地址 格式为 XX:XX:XX:XX:XX:XX mask MAC 地址掩码 格式为 XX:XX:XX:XX:XX:XX descript OUI 描述,1-16 个字符 缺省情况下为空 全局配置创建 MAC 地址为 00:11:11:11:11:11, 掩码为 FF:FF:FF:00:00:00 的 Voice VLAN OUI, 将其描述为 TP- Phone: TL-SG3210(config)# voice vlan mac-address 00:11:11:11:11:11 mask FF:FF:FF:00:00:00 description TP- Phone 36

47 6.5 switchport voice vlan mode 该命令用于配置以太网端口的 Voice VLAN 成员 命令 switchport voice vlan mode { manual auto } manual auto 端口的成员 接口配置 (interface gigabitethernet / interface range gigabitethernet) 配置以太网端口 3 的 voice vlan 成员为 manual: TL-SG3210(config)# interface gigabitethernet 1/0/3 TL-SG3210(config-if)# switchport voice vlan mode manual 6.6 switchport voice vlan security 该命令用于配置以太网端口的 Voice VLAN 安全 命令 switchport voice vlan security no switchport voice vlan security 接口配置 (interface gigabitethernet / interface range gigabitethernet) 启用以太网端口 3 的 Voice VLAN 安全 : TL-SG3210(config)# interface gigabitethernet 1/0/3 TL-SG3210(config-if)# switchport voice vlan security 6.7 show voice vlan 该命令用于显示 Voice VLAN 全局配置 命令 show voice vlan 37

48 特权和所有配置 显示 Voice VLAN 全局配置信息 : TL-SG3210(config)# show voice vlan 6.8 show voice vlan oui 该命令用于显示 Voice VLAN OUI 配置信息 命令 show voice vlan oui 特权和所有配置显示 Voice VLAN OUI 配置信息 : TL-SG3210(config)# show voice vlan oui 6.9 show voice vlan switchport 该命令用于显示以太网端口的 Voice VLAN 配置信息 命令 show voice vlan switchport [ gigabitethernet port ] port 以太网端口 该缺省时, 显示所有端口的配置信息 特权和所有配置显示所有端口的配置信息 : TL-SG3210(config)# show voice vlan switchport 显示端口 2 的配置信息 : TL-SG3210(config)# show voice vlan switchport gigabitethernet 1/0/2 38

49 第 7 章 GVRP 配置命令 GARP(Generic Attribute Registration Protocol, 通用属性注册协议 ),GVRP 功能是该协议的一种 应用, 通过在端口动态注册和注销 VLAN 信息来达到创建或删除 VLAN 的目的, 并传播该信息到其 它交换机中, 减少配置 VLAN 时烦琐的手动操作 7.1 gvrp 该命令用于全局启用 GVRP 功能, 它的 no 命令用于禁用 GVRP 功能 命令 gvrp no gvrp 全局配置全局启用 GVRP 功能 : TL-SG3210(config)# gvrp 7.2 gvrp (interface) 该命令用于在指定端口上启用 GVRP 功能, 它的 no 命令用于禁用该端口的 GVRP 功能 命令 gvrp no gvrp 接口配置 (interface gigabitethernet / interface range gigabitethernet) 说明类型为 trunk 的端口才能启用 GVRP 功能 启用端口 2-6 的 GVRP 功能 : TL-SG3210(config)# interface range gigabitethernet 1/0/2-6 TL-SG3210(config-if-range)# gvrp 39

50 7.3 gvrp registration 该命令用于配置指定端口的 GVRP 注册, 它的 no 命令用于恢复默认的注册 命令 gvrp registration { normal fixed forbidden } no gvrp registration normal fixed forbidden 注册, 默认的为 normal 接口配置 (interface gigabitethernet / interface range gigabitethernet) 配置端口 2-6 的 GVRP 注册为 fixed: TL-SG3210(config)# interface range gigabitethernet 1/0/2-6 TL-SG3210(config-if-range)# gvrp registration fixed 7.4 gvrp timer 该命令用于配置 GVRP 定时器, 它的 no 命令用于恢复默认配置 命令 gvrp timer { leaveall join leave } value no gvrp timer {leaveall join leave} leaveall join leave 分别表示 leave All join 和 leave 三个定时器 每个端口启动 GARP 后, 同时启动 LeaveAll 定时器, 端口将对外循环发送 LeaveAll 消息, 以使其它端口重新注册其所有的属性信息 GARP 端口可以将每个 Join 数据包向外发送两次来保证消息的可靠传输, 两次发送之间的时间间隔用 Join 定时器来控制 接收到 Leave 数据包的 GARP 端口启动 Leave 定时器, 如果在该定时器超时之前没有收到 Join 数据包, 则注销相应属性信息 value 定时器值,leave All 的取值范围 ( 厘秒 ), 默认值为 1000;join 的取值范围 ( 厘秒 ), 默认值为 20;leave 的取值范围 ( 厘秒 ), 默认值为 60 接口配置 (interface gigabitethernet / interface range gigabitethernet) 40

51 将端口 6 的 leaveall 定时器设为 2000, 并将 join 定时器恢复默认配置 : TL-SG3210(config)# interface gigabitethernet 1/0/6 TL-SG3210(config-if)# gvrp timer leaveall 2000 TL-SG3210(config-if)# no gvrp timer join 7.5 show gvrp global 该命令用于显示 GVRP 全局状态 命令 show gvrp global 特权和所有配置显示 GVRP 全局状态 : TL-SG3210(config)# show gvrp global 7.6 show gvrp interface 该命令用于显示以太网端口的 GVRP 配置信息 命令 show gvrp interface [ gigabitethernet port ] port 以太网端口号, 缺省时显示所有端口的 GVRP 配置信息 特权和所有配置显示所有端口的 GVRP 配置信息 : TL-SG3210(config)# show gvrp interface 显示端口 2 的 GVRP 配置信息 : TL-SG3210(config)# show gvrp interface gigabitethernet 1/0/2 41

52 第 8 章 EtherChannel 配置命令 EtherChannel 配置命令用于配置 LAG 和 LACP 功能 LAG(Link Aggregation Group, 端口汇聚组 ) 是将交换机的多个物理端口汇聚成一个逻辑端口的功能, 可以增加带宽, 提高连接的可靠性 LACP(Link Aggregation Control Protocol, 链路汇聚控制协议 ) 是基于 IEEE 802.3ad 标准用来实现链路动态汇聚与解汇聚的协议 聚合的双方通过协议交互聚合信息, 将匹配的链路聚合在一起收发数据, 具有很高的灵活性并提供了负载均衡的能力 8.1 channel-group 该命令用于把端口添加到汇聚组, 并设置其 它的 no 命令用于将端口从汇聚组移除 命令 channel-group num mode { on active passive } no channel-group num 汇聚组组号, 取值范围 1-8, 最多可配置 8 个汇聚组 on 开启静态 LAG active 开启主动 LACP passive 开启被动 LACP 接口配置 (interface gigabitethernet / interface range gigabitethernet) 添加端口 2-4 到汇聚组 1, 并开启静态 LAG : TL-SG3210(config)# interface range gigabitethernet 1/0/2-4 TL-SG3210(config-if-range)# channel-group 1 mode on 8.2 port-channel load-balance 该命令用于选择汇聚组的负载均衡算法 它的 no 命令用于恢复默认值, 即 src-dst-mac 命令 port-channel load-balance { src-dst-mac src-dst-ip } no port-channel load-balance 42

53 src-dst-mac 源目的 MAC 地址 算法将基于源目的 MAC 地址实现负载均衡 src-dst-ip 源目的 IP 地址 算法将基于源目的 IP 地址实现负载均衡 全局配置 将 LAG 的负载均衡算法设置为 src-dst-mac: TL-SG3210(config)# port-channel load-balance src-dst-mac 8.3 lacp system-priority 该命令用于配置全局的系统优先级, 它的 no 命令用于恢复默认值 命令 lacp system-priority pri no lacp system-priority pri 系统优先级, 取值范围 默认值为 全局配置配置 LACP 的系统优先级为 1024: TL-SG3210(config)# lacp system-priority lacp port-priority 该命令用于配置 LACP 端口优先级, 它的 no 命令用于恢复默认值 命令 lacp port-priority pri no lacp port-priority pri 端口优先级, 取值范围 默认值为 接口配置 (interface gigabitethernet / interface range gigabitethernet) 43

54 将端口 1-3 的端口优先级设置为 1024: TL-SG3210(config)# interface range gigabitethernet 1/0/1-3 TL-SG3210(config-if-range)# lacp port-priority 1024 将端口 4 的端口优先级设置为 2048: TL-SG3210(config)# interface range gigabitethernet 1/0/4 TL-SG3210(config-if)# lacp port-priority show etherchannel 该命令用于显示汇聚组信息 命令 show etherchannel [ channel-group-num ] { detail summary } channel-group-num 汇聚组组号, 取值范围 1-8 该缺省时, 显示所有组的信息 detail 详述信息 summary 概述信息 特权和所有配置显示汇聚组 1 的详述信息 : TL-SG3210 (config)# show etherchannel 1 detail 8.6 show etherchannel load-balance 该命令用于显示负载均衡算法 命令 show etherchannel load-balance 特权和所有配置显示负载均衡算法 : TL-SG3210 (config)# show etherchannel load-balance 44

55 8.7 show lacp 该命令用于显示特定汇聚组的 LACP 信息 命令 show lacp [ channel-group-num ] { internal neighbor } channel-group-num 组号, 取值范围 1-8 该缺省时, 显示所有 LACP 类型组的信息 internal 本端 LACP 信息 neighbor 对端 LACP 信息 特权和所有配置显示汇聚组 1 的本端 LACP 信息 : TL-SG3210 (config)# show lacp 1 internal 8.8 show lacp sys-id 该命令用于显示 LACP 系统优先级 命令 show lacp sys-id 特权和所有配置显示 LACP 系统优先级 : TL-SG3210 (config)# show lacp sys-id 45

56 第 9 章用户管理配置命令 用户配置用来管理通过 Web CLI 或 SSH 方式登录交换机的用户信息, 以达到保护交换机配置的目的 9.1 user 该命令用于添加一个新用户账户或修改已存在的用户账户的信息 no 命令用于删除已存在的账户 命令 user name user-name password password [ type { guest admin}] {status disable enable } no user user-name user-name 用户名,1-16 个字符, 只能由数字 英文字母和下划线组成 password 用户密码,1-16 个字符, 只能由数字 英文字母和下划线组成 添加用户时, 默认值为 admin guest admin 用户类型,guest: 受限用户,admin: 管理员 添加用户时, 默认为 guest disable enable 禁用 / 启用该用户账户 添加用户时, 默认为 enable 全局配置添加并启用一个用户名为 tplink, 密码为 password 的管理员账户 : TL-SG3210(config)# user name tplink password password type admin status enable 9.2 user access-control ip-based 该命令用于启用基于 IP 地址的身份限制, 只有处于所设 IP 网段的设备才可以访问本交换机 它的 no 命令用于取消用户身份限制 命令 user access-control ip-based ip-addr ip-mask no user access-control 46

57 ip-addr / ip-mask 源 IP 地址和 IP 掩码 只有处于所设 IP 网段的设备才可以访问本 交换机 全局配置 启用 IP 地址为 的身份限制 : TL-SG3210(config)# user access-control ip-based user access-control mac-based 该命令用于启用基于 MAC 地址的身份限制, 只允许所设的 MAC 地址通过 Web 访问交换机 命令 user access-control mac-based mac-addr no user access-control mac-addr 源 MAC 地址 只有拥有该 MAC 地址的设备才可以访问本交换机 全局配置启用 MAC 地址为 00:00:13:0A:00:01 的身份限制 : TL-SG3210(config)# user access-control mac-based 00:00:13:0A:00: user access-control port-based 该命令用于启用基于端口的身份限制, 只允许连接在所设的端口上的主机通过 WEB 访问交换机 命令 user access-control port-based interface { gigabitethernet port range gigabitethernet port-list } no user access-control port 以太网端口号 port-list 以太网端口列表, 最多可指定 5 个端口 47

58 全局配置 启用 2-6 五个端口的身份限制 : TL-SG3210(config)# user access-control port-based interface range gigabitethernet 1/0/ user max-number 该命令用于配置登录人数限制, 它的 no 命令用于取消登录人数限制 命令 user max-number admin-num guest-num no user max-number admin-num 管理员账户最大允许登录数, 取值范围 1-16 管理员用户和受限用户总数不能超过 16 guest-num 受限用户账户最大允许登录数, 取值范围 0-15 管理员用户和受限用 户总数不能超过 16 全局配置 设置管理员账户以及受限用户的最大允许登录数分别为 5 和 3: TL-SG3210(config)# user max-number user idle-timeout 该命令用于连接超时配置, 它的 no 命令用于恢复默认的超时时间 命令 user idle-timeout minutes no user idle-timeout minutes 超时时间, 取值范围 5-30( 分钟 ) 默认值为 10 全局配置 48

59 将连接超时设置为 15 分钟 : TL-SG3210(config)# user idle-timeout line 该命令用于进入 line 配置, 以配置用户的登录及连接密码等 命令 line [ console linenum vty startlinenum endlinenum ] linenum 指定需要配置的 console 口的端口号, 本交换机只有一个 console 口, 故该值为 0 startlinenum 指定需要配置的虚拟终端连接的起始序号, 取值范围为 表示从第一个通过 Telnet 或 SSH 登录的用户开始, 配置生效 ;1 表示从第二个登录的用户开始, 并依次类推 endlinenum 指定需要配置的虚拟终端连接的结束序号, 取值范围为 0-15, 并且不能小于 startlinenum 0 表示配置只对第一个通过 Telnet 或 SSH 登录的用户有效 ;1 表示到第二个登录的用户为止, 配置有效, 并依次类推 全局配置 进入 console 端口配置以配置 console 口的连接密码等 : TL-SG3210(config)# line console 0 进入虚拟终端配置, 配置前 6 个通过 Telnet 或 SSH 连接的用户的登录及连接密码等 :: TL-SG3210(config)# line vty password 该命令用于配置连接密码 no 命令用于清除密码 命令 password password no password 49

60 password 配置连接密码,1-16 个字符, 只能由数字 英文字母和下划线组成 line 配置 配置 console 端口 0 的连接密码为 tplink: TL-SG3210(config)# line console 0 TL-SG3210(config-line)# password tplink 配置虚拟终端连接 0-5 的连接密码为 tplink: TL-SG3210(config)# line vty 0 5 TL-SG3210(config-line)# password tplink 9.9 login 该命令用于设置交换机登录为 login, 即无需输入登录用户名和密码, 但是需要输入一个连接密码才能建立 Telnet 连接进行访问 命令 login Line 配置配置 console 端口 0 的连接为 login: TL-SG3210(config)# line console 0 TL-SG3210(config-line)# login 配置建立 Telnet 连接的为 login: TL-SG3210(config)# line vty 0 5 TL-SG3210(config-line)# login 9.10 login local 该命令用于设置交换机登录为 login local, 即输入用户名和密码登录, 默认用户名 / 密码为 admin/admin 50

61 命令 login local Line 配置 配置 console 端口 0 的连接为 login local: TL-SG3210(config)# line console 0 TL-SG3210(config-line)# login local 配置建立 Telnet 连接的为 login local: TL-SG3210(config)# line vty 0 5 TL-SG3210(config-line)# login local 9.11 show user account-list 该命令用于显示当前用户账户列表 命令 show user account-list 特权和所有配置显示当前用户账户列表 : TL-SG3210(config)# show user account-list 9.12 show user configuration 该命令用于显示用户安全配置, 包括身份限制, 登录数限制, 超时配置等 命令 show user configuration 特权和所有配置显示用户安全配置 : TL-SG3210(config)# show user configuration 51

62 第 10 章绑定列表配置命令 四元绑定功能可以将局域网中计算机的 IP 地址 MAC 地址 VLAN 和端口进行绑定,ARP 防护功 能将使用四元绑定条目对数据包进行过滤 10.1 ip source binding 该命令用于手动添加 IP-MAC-VID-PORT 四元绑定条目 如果已经掌握了局域网中计算机用户的相关信息, 包括 IP 地址 MAC 地址 VLAN 以及连接端口等, 可以手动四元绑定 命令 ip source binding hostname ip-addr mac-addr vlan vid interface gigabitethernet port { none arp-detection } [ forced-source { arp-scanning dhcp-snooping } ] no ip source binding index idx hostname 需要绑定的主机名,1-20 个字符 ip-addr 源 IP 地址 mac-addr 源 MAC 地址 vid 需要绑定的 VLAN, 取值范围 port 需要绑定的交换机端口号 none arp-detection 该条目执行的 ACL 动作,arp-detection 表示 ARP 防护 ;none 表示不应用 ARP 防护 forced-source 可选 forced-source 用于强制将新添加条目的来源从 manual 修改为 arp-scanning 或者 dhcp-snooping, 以模拟 arp-scan 或 dhcp-snooping 添加绑定条目, 使非手动绑定条目可以保存配置 idx 指定要删除的条目序号 可使用命令 show ip source binding 获取各条目对应的序号 注意, 这里的序号是指该条目在绑定表中的序号, 故显示时不一定是按习惯上的从小到大递增的顺序, 而是显示该条目在绑定表中的实际序号 全局配置 手动添加一条四元绑定条目, 主机名为 host1,ip 地址为 ,MAC 地址为 00:00:00:00:00:01,VID 为 2, 端口号为 5, 并将该条目同时应用于 ARP 防护 : TL-SG3210(config)# ip source binding host :00:00:00:00:01 vlan 2 interface gigabitethernet 1/0/5 arp-detection 52

63 删除绑定表中序号为 5 的 IP-MAC VID-PORT 条目 : TL-SG3210(config)# no ip source binding index ip dhcp snooping 该命令用于全局开启 DHCP 侦听功能, 它的 no 命令用于禁用 DHCP Snooping 通过 DHCP 侦听功能, 交换机可以侦听用户动态申请 IP 地址的过程, 并记录局域网中计算机的 IP 地址 MAC 地址 VLAN 以及连接端口等信息, 自动进行四元绑定 命令 ip dhcp snooping no ip dhcp snooping 全局配置全局开启 DHCP Snooping: TL-SG3210(config)# ip dhcp snooping 10.3 ip dhcp snooping global 该命令用于 DHCP Snooping 全局配置, 它的 no 命令用于恢复默认配置 命令 ip dhcp snooping global { [global-rate global-rate] [dec-threshold dec-threshold] [dec-rate dec-rate] } no ip dhcp snooping global global-rate 全局流量控制, 配置交换机每秒允许转发的 DHCP 消息的数目, 超出的部分将被丢弃, 可选项为 , 单位 pps(packet/second) 默认值为 0, 表示禁用 dec-threshold Decline 保护阀值, 配置触发特定端口 Decline 保护所需的 Decline 报文最小流量, 可选项为 , 单位 pps(packet/ second) 默认值为 0, 表示禁用 dec-rate Decline 保护流量限制, 如果端口 Decline 消息流量超出阈值, 则将相应端口的端口流量限制设置为该值, 可选项为 , 单位 pps (packet/second) 默认值为 5 53

64 全局配置 配置 DHCP Snooping 全局流量控制为 30 pps,decline 保护阀值为 20 pps,decline 保护流量阀值为 20 pps: TL-SG3210(config)# ip dhcp snooping global global-rate 30 dec-threshold 20 dec-rate ip dhcp snooping information option 该命令用于开启 DHCP Snooping 的 Option 82 功能, 它的 no 命令用于关闭 Option 82 功能 命令 ip dhcp snooping information option no ip dhcp snooping information option 全局配置开启 DHCP Snooping 的 Option 82 功能 : TL-SG3210(config)# ip dhcp snooping information option 10.5 ip dhcp snooping information strategy 该命令用于选择对接收到的包含 Option 82 选项请求报文的配置处理策略, 它的 no 命令用于恢复默认选项 命令 ip dhcp snooping information strategy { keep replace drop } no ip dhcp snooping information strategy keep 保持该报文中的 Option 82 选项不变并进行转发 默认选项 replace 按照配置的填充内容填充 Option 82 选项, 并替换报文中原有的 Option 82 选项进行转发 drop 丢弃该报文 全局配置 54

65 将接收到的请求报文的 Option 82 选项替换为用户自定义的选项内容, 并进行转发 : TL-SG3210(config)# ip dhcp snooping information strategy replace 10.6 ip dhcp snooping information remote-id 该命令用于配置 Option 82 的 Remote ID 子选项内容 no 命令用于恢复默认值 命令 ip dhcp snooping information remote-id string no ip dhcp snooping information remote-id string 用户自定义配置的 Remote ID 子选项内容 长度为 1-32 个字符 全局配置配置 Option 82 的 Remote ID 子选项为 tplink: TL-SG3210(config)# ip dhcp snooping information remote-id tplink 10.7 ip dhcp snooping information circuit-id 该命令用于配置 Option 82 的 Circuit ID 子选项内容 no 命令用于恢复默认值 命令 ip dhcp snooping information circuit-id string no ip dhcp snooping information circuit-id string 用户自定义配置的 Circuit ID 子选项内容 长度为 1-32 个字符 全局配置配置 Option 82 的 Circuit ID 子选项为 tplink: TL-SG3210(config)# ip dhcp snooping information circuit-id tplink 55

66 10.8 ip dhcp snooping trust 该命令用于配置端口为授信端口, 只有授信端口才能接收来自 DHCP 服务器端的消息, 它的 no 命令用于取消授信端口配置 命令 ip dhcp snooping trust no ip dhcp snooping trust 接口配置 (interface gigabitethernet / interface range gigabitethernet) 启用交换机端口 2 为授信端口 : TL-SG3210(config)# interface gigabitethernet 1/0/2 TL-SG3210(config-if)# ip dhcp snooping trust 10.9 ip dhcp snooping mac-verify 该命令用于启用端口的 MAC 验证功能, 它的 no 命令用于禁用 MAC 验证 DHCP 消息中有两个字段存储着客户端的 MAC 地址,MAC 验证功能会对这两个字段进行比较, 如果不同, 则将消息丢弃 命令 ip dhcp snooping mac-verify no ip dhcp snooping mac-verify 接口配置 (interface gigabitethernet / interface range gigabitethernet) 启用端口 2 的 MAC 验证功能 : TL-SG3210(config)# interface gigabitethernet 1/0/2 TL-SG3210(config-if)# ip dhcp snooping mac-verify ip dhcp snooping limit rate 该命令用于配置端口的流量控制, 超出流量部分的 DHCP 数据包将被丢弃, 它的 no 命令用于恢复 默认配置 56

67 命令 ip dhcp snooping limit rate value no ip dhcp snooping limit rate value 端口流量控制, 可选项为 , 单位 pps(packet per second) 默认值为 0, 表示禁用 接口配置 (interface gigabitethernet / interface range gigabitethernet) 将端口 2 的流量控制设为 20pps: TL-SG3210(config)# interface gigabitethernet 1/0/2 TL-SG3210(config-if)# ip dhcp snooping limit rate ip dhcp snooping decline 该命令用于启用端口的 decline 侦听功能, 它的 no 命令用于禁用 decline 侦听 命令 ip dhcp snooping decline no ip dhcp snooping decline 接口配置 (interface gigabitethernet / interface range gigabitethernet) 启用端口 2 的 decline 侦听功能 : TL-SG3210(config)# interface gigabitethernet 1/0/2 TL-SG3210(config-if)# ip dhcp snooping decline show ip source binding 该命令用于显示 IP-MAC-VID-PORT 四元绑定表 命令 show ip source binding 特权和所有配置 57

68 显示 IP-MAC-VID-PORT 四元绑定表 : TL-SG3210(config)# show ip source binding show ip dhcp snooping 该命令用于显示 DHCP Snooping 当前状态信息 命令 show ip dhcp snooping 特权和所有配置显示 DHCP Snooping 当前状态信息 : TL-SG3210(config)# show ip dhcp snooping show ip dhcp snooping information 该命令用于显示 DHCP Snooping 的 Option 82 选项配置 命令 show ip dhcp snooping information 特权和所有配置显示 DHCP Snooping 的 Option 82 选项配置 : TL-SG3210# show ip dhcp snooping information show ip dhcp snooping interface 该命令用于显示 DHCP Snooping 端口配置信息 命令 show ip dhcp snooping interface [ gigabitethernet port ] port 交换机端口号, 缺省时显示所有端口的配置信息 58

69 特权和所有配置 显示所有端口的 DHCP Snooping 配置信息 : TL-SG3210# show ip dhcp snooping interface 59

70 第 11 章 ARP 防护配置命令 防 ARP 欺骗功能可以针对局域网中常见的网关欺骗和中间人攻击等 ARP 欺骗进行防护, 有效抑制 局域网中的 ARP 欺骗 11.1 ip arp inspection(global) 该命令用于全局开启 ARP 防护, 它的 no 命令用于禁用 ARP 防护功能 命令 ip arp inspection no ip arp inspection 全局配置全局开启 ARP 防护 : TL-SG3210(config)# ip arp inspection 11.2 ip arp inspection trust 该命令用于配置 ARP 防护的信任端口, 它的 no 命令用于清空信任端口列表 上联端口 路由端口以及 LAG 端口等特殊端口均应配置为信任端口 在启用防 ARP 欺骗功能之前, 应先配置 ARP 信任端口, 以免影响正常通信 命令 ip arp inspection trust no ip arp inspection trust 接口配置 (interface gigabitethernet / interface range gigabitethernet) 配置端口 2 为 ARP 防护的信任端口 : TL-SG3210(config)# interface gigabitethernet 1/0/2 TL-SG3210(config-if)# ip arp inspection trust 60

71 11.3 ip arp inspection (interface) 该命令用于开启端口的 ARP 防护功能, 它的 no 命令用于禁用 ARP 防护功能 命令 ip arp inspection no ip arp inspection 接口配置 (interface gigabitethernet / interface range gigabitethernet) 开启端口 2-6 的 ARP 防护功能 : TL-SG3210(config)# interface range gigabitethernet 1/0/2-6 TL-SG3210(config-if-range)# ip arp inspection 11.4 ip arp inspection limit-rate 该命令用于配置端口的 ARP 超速速率, 它的 no 命令用于恢复默认超速速率 命令 ip arp inspection limit-rate value no ip arp inspection limit-rate value 超速速率值, 取值范围 , 单位 pps(packet/second) 默认值为 15 接口配置 (interface gigabitethernet / interface range gigabitethernet) 将端口 5 的 ARP 超速速率设置为 50pps: TL-SG3210(config)# interface gigabitethernet 1/0/5 TL-SG3210(config-if)# ip arp inspection limit-rate ip arp inspection recover 该命令用于将处于 ARP 过滤状态的端口恢复为 ARP 转发状态 命令 ip arp inspection recover 61

72 接口配置 (interface gigabitethernet / interface range gigabitethernet) 将端口 5 恢复为 ARP 转发状态 : TL-SG3210(config)# interface gigabitethernet 1/0/5 TL-SG3210(config-if)# ip arp inspection recover 11.6 show ip arp inspection 该命令用于显示 ARP 防护全局配置, 包括启用状态和信任端口列表 命令 show ip arp inspection 特权和所有配置显示 ARP 防护全局配置 : TL-SG3210(config)# show ip arp inspection 11.7 show ip arp inspection interface 该命令用于显示 ARP 防护端口配置信息 命令 show ip arp inspection interface [ gigabitethernet port ] port 交换机端口号, 缺省时显示所有端口的配置信息 特权和所有配置显示所有端口的 ARP 防护配置信息 : TL-SG3210(config)# show ip arp inspection interface 显示端口 2 的配置 : TL-SG3210(config)# show ip arp inspection interface gigabitethernet 1/0/2 62

73 11.8 show ip arp inspection statistics 该命令用于显示 ARP 非法报文统计 命令 show ip arp inspection statistics 特权和所有配置显示 ARP 非法报文统计 : TL-SG3210(config)# show ip arp inspection statistics 11.9 clear ip arp inspection statistics 该命令用于对 ARP 非法报文统计进行清零 命令 clear ip arp inspection statistics 特权和所有配置对 ARP 非法报文统计进行清零 : TL-SG3210(config)# clear ip arp inspection statistics 63

74 第 12 章 DoS 防护命令 DoS 攻击是指网络中攻击者或者恶意程序向目标主机发送大量的服务请求, 恶意消耗网络资源 启 用 DoS 防护功能后, 交换机对收到的特殊数据包的特定字段进行解析, 并针对这些信息定义防护措 施, 从而保护局域网的正常运行 12.1 ip dos-prevent 该命令用于全局启用 DoS 防护功能, 它的 no 命令用于禁用 DoS 防护功能 命令 ip dos-prevent no ip dos-prevent 全局配置全局启用 DoS 防护功能 : TL-SG3210(config)# ip dos-prevent 12.2 ip dos-prevent type 该命令用于选择启用 DoS 攻击防护类型, 它的 no 命令用于禁用相应的防护类型 命令 ip dos-prevent type { land scan-synfin xma-scan null-scan port-less-1024 blat ping-flood syn-flood } no ip dos-prevent type { land scan-synfin xma-scan null-scan port-less-1024 blat ping-flood syn-flood } land Land 攻击 scan-synfin Scan SYNFIN 攻击 xma-scan Xma Scan 攻击 null-scan NULL Scan 攻击 port-less-1024 源端口小于 1024 的 SYN 报文 blat Blat 攻击 64

75 ping-flood Ping flooding 攻击 syn-flood SYN/SYN-ACK flooding 攻击 全局配置 启用 Land 攻击防护功能 : TL-SG3210(config)# ip dos-prevent type land 12.3 show ip dos-prevent 该命令用于显示 DoS 攻击防护全局配置信息, 包括启用状态 攻击防护类型 攻击次数统计等 命令 show ip dos-prevent 特权和所有配置显示 DoS 攻击防护全局配置信息 : TL-SG3210(config)# show ip dos-prevent 65

76 第 13 章 IEEE 802.1X 配置命令 IEEE 802.1X 能为局域网计算机提供认证功能, 并根据认证结果对受控端口的授权状态进行控制, 主要用于解决以太网内认证和安全方面的问题 13.1 dot1x system-auth-control 该命令用于全局开启 IEEE 802.1X 功能, 它的 no 命令用于禁用 IEEE 802.1X 功能 命令 dot1x system-auth-control no dot1x system-auth-control 全局配置开启 IEEE 802.1X 功能 : TL-SG3210(config)# dot1x system-auth-control 13.2 dot1x auth-method 该命令用于配置 IEEE 802.1X 的认证方法, 它的 no 命令用于恢复默认配置 命令 dot1x auth-method { pap eap-md5 } no dot1x auth-method pap eap-md5 认证方法 选择 pap 时, 用户端与交换机之间运行 EAP 协议, 交换机将 EAP 消息转换为其它认证协议 ( 如 RADIUS), 传递用户认证信息给认证服务器系统 选择 eap-md5 时, 交换机与认证服务器之间运行 EAP 协议,EAP 帧中继封装认证数据, 将该协议承载在其它高层次协议中 ( 如 RADIUS), 以便穿越复杂的网络到达认证服务器 默认选项为 eap-md5 全局配置 66

77 设置 IEEE 802.1X 认证方法为 pap: TL-SG3210(config)# dot1x auth-method pap 13.3 dot1x guest-vlan(global) 该命令用于全局开启 Guest VLAN 功能, 它的 no 命令用于全局禁用 Guest VLAN 功能 命令 dot1x guest-vlan vid no dot1x guest-vlan vid 启用 Guest VLAN 的 VLAN ID, 取值范围 2~4094 Guest VLAN 中的用户可以 访问指定的网络资源 全局配置 启用 VLAN 5 为 Guest VLAN: TL-SG3210(config)# dot1x guest-vlan dot1x quiet-period 该命令用于开启 IEEE 802.1X 特性的静默功能, 它的 no 命令用于关闭该功能 命令 dot1x quiet-period no dot1x quiet-period 全局配置开启 IEEE 802.1X 静默功能 : TL-SG3210(config)# dot1x quiet-period 13.5 dot1x timeout 该命令用于配置静默时长 客户端响应超时时长, 它的 no 命令用于恢复默认配置 67

78 命令 dot1x timeout { quiet-period time reauth-period time } no dot1x timeout { quiet-period reauth-period } quiet-period time 静默时长 用户认证失败后, 在静默时间内不再处理同一用户 的 IEEE 802.1X 认证请求 取值范围 1~999( 秒 ), 默认值为 10 reauth-period time 客户端响应超时时长, 即交换机等待客户端响应的最大等待时 间 若交换机在设定时间内没有收到客户端的回复, 则重发报文 取值范围 1~9( 秒 ), 默认值为 3 全局配置 设置静默时长为 12 秒 : TL-SG3210(config)# dot1x timeout quiet-period dot1x max-reauth-req 该命令用于配置客户端请求报文重复发送次数, 它的 no 命令用于恢复默认设置 命令 dot1x max-reauth-req times no dot1x max-reauth-req times 认证报文的最大重复发送次数, 取值范围 1~9( 次 ), 默认值为 3 全局配置设置最大重复发送次数为 5: TL-SG3210(config)# dot1x max-reauth-req dot1x 该命令用于开启端口的 IEEE 802.1X 特性, 它的 no 命令用于禁用端口的 IEEE 802.1X 特性 68

79 命令 dot1x no dot1x 接口配置 (interface gigabitethernet / interface range gigabitethernet) 开启端口 1 的 IEEE 802.1X 特性 : TL-SG3210(config)# interface gigabitethernet 1/0/1 TL-SG3210(config-if)# dot1x 13.8 dot1x guest-vlan(interface) 该命令用于开启端口的 Guest VLAN 功能, 它的 no 命令用于禁用端口的 Guest VLAN 功能 在开启端口的 Guest VLAN 功能前, 请确保相应端口的接入控制类型为 port-based, 详见 dot1x port-method 命令 dot1x guest-vlan no dot1x guest-vlan 接口配置 (interface gigabitethernet / interface range gigabitethernet) 开启端口 2 的 Guest VLAN 功能 : TL-SG3210(config)# interface gigabitethernet 1/0/2 TL-SG3210(config-if)# dot1x guest-vlan 13.9 dot1x port-control 该命令用于配置 IEEE 802.1X 在指定端口的接入控制, 它的 no 命令用于恢复默认配置 命令 dot1x port-control { auto authorized-force unauthorized-force } no dot1x port-control auto authorized-force unauthorized-force 控制, 有 auto ( 自动 ) authorized-force( 强制已认证 ) unauthorized-force( 强制不认证 ) 三个选项 选择 auto 时, 端口需要进行认证 ; 选择 authorized-force 时, 端口不需认证即可访问网络 ; 选择 69

80 unauthorized-force 时, 端口永远无法通过认证 默认选项为 auto 接口配置 (interface gigabitethernet / interface range gigabitethernet) 设置端口 1 的接入控制为强制已认证 : TL-SG3210(config)# interface gigabitethernet 1/0/1 TL-SG3210(config-if)# dot1x port-control authorized-force dot1x port-method 该命令用于配置 IEEE 802.1X 在指定端口的接入控制类型, 它的 no 命令用于恢复默认配置 命令 dot1x port-method { mac-based port-based } no dot1x port-method mac-based port-based 控制类型, 有 mac-based( 基于 MAC) 和 port-based( 基于 Port) 两个选项 选择 mac-based 时, 该端口连接的所有计算机都需认证 ; 选择 port-based 时, 该端口连接的某个用户通过认证后, 其他用户均无须认证即可访问网络 默认选项为 mac-based 接口配置 (interface gigabitethernet / interface range gigabitethernet) 设置端口 5 的接入控制类型为基于 Port 认证 : TL-SG3210(config)# interface gigabitethernet 1/0/5 TL-SG3210(config-if)# dot1x port-method port-based radius 该命令用于配置主认证服务器的相关 认证服务器是为交换机提供认证服务的实体 认证服务器可以存储有关用户的信息, 包括用户名 密码以及其它, 用于实现对用户的认证 授权和计费, 通常为 RADIUS(Remote Authentication Dial-In User Service, 远程认证拨号用户服务 ) 服务器 命令 radius { [auth-pri ip] [auth-sec ip] [auth-port port] [auth-key keyvalue] [acct-pri ip] [acct-sec ip] [acct-port port] [acct-key keyvalue] [timeout value] } 70